就网路安全而言,2020上半年相当有意思,这半年内发生了许多资料外泄事件,人们因此越来越重视网路安全的重要性,或许也让业界人士开始正视这方面的问题。
今年下半年还会如此吗?企业是否会开始积极采用专业资安人士多年来谈论不休的解决方案呢?时间会证明一切,不过,我们也发现骇客改弦易辙的可能性极低(既然有用又何必改变呢?)。他们的手法会随着科技的发展而更加复杂高明,而且目标会随着可用资料所在位置而调整(例如,既然美国地区的ISP能利用客户的资料赚钱,这里成为骇客下手目标的可能性就很大)。不出所料......这会导致我们最需要担心的网路安全问题。
资料外泄
![图一 : 骇客的手法随着科技发展而更加复杂高明,2020下半年可能会有更多的公司运用AI/机器学习侦测及防堵威胁。(source:Information Age)](/art/2020/06/151338411200/p1S.JPG)
图一 : 骇客的手法随着科技发展而更加复杂高明,2020下半年可能会有更多的公司运用AI/机器学习侦测及防堵威胁。(source:Information Age) |
|
遭骇客盯上的公司持有珍贵的资料,也就是具有贩卖价值或可以当成勒索筹码的资料,因此,自然容易发生资料外泄问题。资料库是容易吸引网路罪犯下手的目标,因为网路罪犯擅长迅速利用人为错误和其他漏洞,比方说,他们会用无辜资安人员同样也用的入侵检测工具,将修补软体的时间往后延。今年,这一点恐怕也不会有太大的改变。
不过,今年企业已开始全面实施诸如欧盟 GDPR 之类的监管法规。我必须特别强调,除了少数例外,不在欧盟境内的公司行号也必须遵守规范。加州消费者隐私保护法(California Consumer Privacy Act;CCPA)几乎是美国版的GDPR,此项法案已经在 2020年1月生效。另有几个国家/地区已经采行了类似的资料保护法,要求公司行号重视营运作业中的资料隐私权及相关网路安全流程。公司行号之所以会照做,绝大部分是因为担心资料外泄导致声誉受损,也怕遭到罚款。可惜,资安技术的不足往往导致资料外泄防范措施窒碍难行。
网路安全技术
网路安全人员是个供不应求的职务。业界普遍认为,在2021年来临之前,全世界将出现超过 350万个网路安全人员职缺。雇主们会不会愿意在今年投入时间与精力对既有的资安人员进行训练,以利他们掌握更多资安技术呢?也许,雇主会降低准入门槛,让已经具备一定IT技能的人员接受再次训练,了解需要强化的资安领域?
公司行号也有可能会选择外包,付钱找人在远端加强公司的安全防护措施,或者运用基于AI的软体解决方案进行漏洞评估。
如果要我预测......我虽不是预言家诺斯特拉达姆斯(Nostradamus),但我认为,许多公司行号仍然不会大手笔投资在员工身上(当然也有可能单纯是因为预算短绌),原因也许是企业担心员工受训后变得更抢手,因而有机会另谋高就。但愿事实并非如此,不过我相信,重视员工的公司一定会加强训练。倘若公司加强训练,可以选择的国际认证有很多。
无论如何,每家公司都需要透过增聘员工、训练在职员工或外包等方式加强网路安全。
网路安全是一项炙手可热的技术,可以算是铁饭碗,但在很大程度上,高层主管仍承担着风险。一旦发生资料外泄,「辞职以示负责」或遭到解雇的往往会是资讯长(CIO)或资安长(CSO)。试想,若员工容易成为网路钓鱼或勒索软体攻击的受害者,并且管理者得上断头台当牺牲品,那么在中层资安员工眼里,哪还会有争取担任主管的动力?
2020年开始,发生资料外泄事件时,会不会让该直接负责的人承担责任,而不会再为了控管损失而让高层主管出面扛责,这是企业该思考的问题。
端点管理
公司建立的端点越多,网路罪犯有机可乘的攻击漏洞就越多。很合理,但怪怪的,对吧?
‧ 如果采用云端解决方案,就容易遭受云端攻击。
‧ 如果想在公司装设支援网际网路的装置并全面采用「智慧技术」,也就是让所有装置都连上物联网(IoT),就会制造更多令骇客觊觎的漏洞。如果装置未采取安全防范措施(例如使用不能更改的预设密码或配对PIN),或者使用易遭攻击的网路通讯协定,风险自然更大。
‧ 如果允许员工使用自己的行动装置,却未做好行动装置管理(MDM)工作,就会制造出漏洞,因为IT人员无法全面保护公司资料,或者没有办法在装置遗失或失窃后清除装置上的资料。 Kaspersky在2019年进行过一项调查,发现有半数组织曾经因为员工自备的装置出现恶意软体而遭到入侵,因此,此问题将成为今年值得重视的一大问题。
今年开始,希望公司只新增维持业务运作所必需的端点,并且愿意重新斟酌 BYOD 的优点。
认证管理
传统的使用者/密码验证方式本来就有弱点,因此,预计新一代的验证技术会更加先进。其实有许多可行的选择,多重要素验证和生物辨识只是其中的两个例子。请注意,要规避脸部、语音和指纹辨识机制并不难,更改密码或Token的问题远不如资料外泄严重。运用网路Token和类似的方法也可行,但是,这些方法全都是锦上添花,前提是进行这类验证所需的资料本来就安全无虞。骇客会利用这些资料规避验证机制。
风险管理
我的最后一项预测涉及风险管理。资料外泄现象越来越频繁普遍,目标产业内的公司即便遵循安全防护最佳实务,往往还是容易因为骇客对其网路进行的集中攻击而遭到入侵。要降低资料外泄引发的财务风险,投保网路保险是其中一种方法,而监管法规不分管辖区,只要不遵守,就有可能遭到罚款,因此,投保网路保险现在更成为越来越重要的趋势。
我相信,网路保险投保的发展今年会水涨船高,如果保险公司提供的保单能证明他们对于网路安全态势及公司所面临的相关威胁了若指掌,自然会更抢手,但若这类保险只理赔服务中断或设备故障损失,保障绝对不够。网路保险越普及,投保成本就该越低......当然,保费高低取决于公司现行的安全防护措施,且承保网路风险也有其难度,因为相关变数实在很大。
结论
![图二 : 网路安全对公司而言只会越来越重要,所有会连上公司网路的人员都必须加强安全意识。 (source:https://techthusiast.net)](/art/2020/06/151338411200/p2.jpg)
图二 : 网路安全对公司而言只会越来越重要,所有会连上公司网路的人员都必须加强安全意识。 (source:https://techthusiast.net) |
|
总归一句话,网路安全趋势预测纯粹只是预测。关于安全意识训练不足/人为疏失导致公开的资料外泄这方面,变化应该不会太大。今年,主要差别在于客户现在会认为自己的资料已受到妥善保护,也乐见没有做好安全防护措施的公司受罚。公司行号或许应该重新评估应该储存多少与使用者相关的资料,以及应该将这类资料储存在何处......。
2020下半年,可能会有更多的公司运用AI/机器学习侦测及防堵威胁;届时,骇客也会运用 AI 技术开发出新的攻击方式。游戏还是要继续玩下去......无论今年发生什么事,有两点是不争的事实;网路安全对公司而言只会越来越重要,而且所有会连上公司网路的人员都必须加强安全意识,因为网路钓鱼和勒索软体攻击将会越来越复杂难解。
(本文作者Eric Yang为Progress Software 公司销售经理)